Canvas is just the latest case. In December 2024, the PowerSchool platform, used by more than 60 million students in North America, suffered an attack that exposed the names, addresses, social security numbers and medical records of students, including children under the age of five.

According to the Géant Security research, the education sector averaged 4,388 cyberattacks per week in Q2 2025, 31% increase year-over-year. Third-party vendors are responsible for the majority of breaches.

Why criminals attack educational platforms

Most parents assume that cyberattacks on schools are intended to disrupt classes. The disruption is a side effect. The real objective is the data.

The FBI’s Internet Crime Complaint Center reported cybercrime losses exceeding $20.9 billion in 2025, a 26% increase over the previous year. Global cybercrime costs reached $10.5 trillion annually in 2025, a number that, if cybercrime were a country, would make it the world’s third-largest economy, behind only the United States and China. Data is the most valuable asset in the digital economy, and criminal organizations operate around it with the same logic as any other market: supply, demand, packaging, and distribution.

When sensitive data is stolen, it does not simply disappear. It moves through four distinct stages: aggregation, packaging, listing, and distribution. Credentials are tested against live services before being listed for sale. Material is assembled into bundles. The package is posted on dark web marketplaces, often within hours of capture. Buyers purchase the data, monetize it through fraud or account takeover, and often resell it. Stolen identity records circulate in criminal markets for years, generating losses long after the original breach.

Educational platforms are particularly attractive targets for three reasons. First, they hold an unusual concentration of sensitive data in a single place, names, email addresses, student ID numbers, private messages between students and advisors, medical accommodation requests, and in some cases financial information. Second, schools and universities historically underinvest in cybersecurity compared to financial institutions. The education sector averaged 4,388 cyberattacks per organization per week in Q2 2025, a 31% year-over-year increase, with third-party vendors responsible for the majority of incidents. Third, student data has a long shelf life, a child’s identity stolen today may not surface as a problem until they apply for their first loan a decade later.

What criminals do with the data: the full picture

Once data is extracted, the criminal economy around it is sophisticated and varied:

• Identity theft for financial fraud — name, date of birth, and student ID number are sufficient to open credit lines, apply for loans, or file fraudulent tax returns in someone else’s name. 31% of all data breaches involve stolen or compromised credentials, making it the single most common initial attack vector for over a decade.

• Sale on dark web marketplaces — basic personal information including name and email sells for under $15 due to oversupply from repeated breaches. High-value access such as verified bank logins commands over $1,000. The market operates with escrow systems, buyer reviews, and pricing tiers that mirror legitimate e-commerce.

• Spear phishing — stolen Canvas data enables highly convincing follow-on attacks. Criminals now have real names, institutional email addresses, course context, and private message history, making it possible to craft phishing messages nearly indistinguishable from legitimate institutional communications. A student receiving an email referencing their actual professor, their actual course, and their actual grade is far more likely to click a malicious link.

• Child identity theft — children are particularly vulnerable because their credit history is clean and the fraud may go undetected for years. According to Defend-ID (2025), children are more than 50 times more vulnerable to identity theft than adults, with 25% of minors having their identity stolen before the age of 18.

• Ransomware and extortion — ShinyHunters threatened to release Canvas’s full dataset unless a ransom was paid. The group claimed access to several billions of private messages, giving institutions deadlines to negotiate settlements. Even when a ransom is paid, there is no guarantee that data was not copied before deletion.

• Credential stuffing — when the same password is used across multiple sites, a breach at one platform grants attackers access to all others. It takes organizations an average of 204 days to detect a breach and 73 more to contain it, a combined 277 days during which stolen credentials can be used freely.

• Long-term surveillance and manipulation — private messages between students and advisors, medical accommodation requests, and personal disclosures shared on educational platforms can be used for blackmail, targeted manipulation, or as reconnaissance for future attacks.

For parents, the takeaway is direct: the data your child’s school holds is not just an administrative record. It is a financial asset in a criminal market. Understanding that reframes what it means to ask a school which platforms they use and what data agreements they have signed.

What the law says and parents should know

Under the GDPR, schools act as data controllers and are legally responsible for ensuring that any platform they use meets children’s data protection standards. This means that schools must have Data Processing Agreements with each technology supplier, apply the principle of data minimization, and not allow student data to be used for commercial purposes. The Brazilian LGPD establishes equivalent obligations. In the US, FERPA (Family Educational Rights and Privacy Act) protects students’ educational records.

Parents have the right to ask the school what data has been collected, how long it is kept, and if it is shared with third parties.

What to do right now

• Take control: device settings and account access:

  • Contact the school in writing and ask: what digital platforms they use, what data they collect about students, with whom they share them, and how long they keep them.

  • If your child uses Canvas or PowerSchool, immediately change the account password and enable two-factor authentication.

  • After this week’s attack, be aware of phishing emails that reference Canvas, specific courses, or real teacher names. The stolen data makes these attacks highly convincing.

  • The FBI explicitly advises: do not respond to any contact from those who claim to have your data, and do not make any payment.

• Open the conversation: what to say and when:

  • Explain to your child that information shared on school platforms, including private messages with teachers, can be accessed by third parties in case of an attack.

  • Teach the basic rule: never share sensitive personal information, such as address, phone number, or family situation, in school platform chats.

What to keep on the radar

The attack on Canvas happened this week. If your child studies at an institution that uses the platform, check the school’s announcements and access the official Instructure website to follow the updates.

The Australian OAIC and several European data protection agencies have already opened investigation processes.

Presença é a primeira e mais importante camada de proteção digital. Este artigo aborda os dados, desde a idade até a saúde mental; os riscos, desde aliciamento e pornografia até a perda de privacidade; e um modelo de tomada de decisão para ajudar os pais a agirem com informação, intenção e consciência.

O que os dados dizem sobre idade

A pesquisa Pew Research Center de 2025 mostrou que 95% dos adolescentes entre 13 e 17 anos possuíam smartphone em 2024. Mais da metade dos pais com filhos entre 11 e 12 anos disse o mesmo. Quase 30% dos pais com filhos entre 8 e 10 anos também.

A idade apropriada permanece indefinida. Alguns especialistas sugerem 13-14 anos como marco adequado, mas pediatras, psicólogos e educadores tendem a não dar respostas definitivas, e geralmente devolvem a decisão aos pais.

O que a ciência diz sobre saúde mental

Jonathan Haidt, em seu livro The Anxious Generation (2024), examina o aumento acentuado de ansiedade, depressão e dificuldades sociais entre crianças, associando essas tendências à disseminação de smartphones e ao declínio da infância baseada em experiências independentes. O livro aponta quatro danos fundamentais: privação social, perturbação do sono, fragmentação da atenção e dependência.

Uma revisão sistemática do King’s College London, com 41.871 crianças e jovens, encontrou que o uso problemático de smartphone estava associado a 3,17x mais chances de depressão, 3,05x de ansiedade e 2,60x de sono de má qualidade.

O estudo mais relevante vem de pesquisadores do Children’s Hospital Philadelphia, UC Berkeley e Columbia University, que analisaram dados de mais de 10.000 adolescentes no Adolescent Brain Cognitive Development Study, o maior estudo longitudinal de desenvolvimento cerebral infantil dos EUA. Crianças que receberam smartphones mais cedo tiveram maiores riscos de sono inadequado e obesidade, com piores resultados quanto mais novas eram. A média de idade do primeiro smartphone foi de 11 anos.

Em contrapartida, críticos como Taylor Lorenz argumentam que restrições a redes sociais, por exemplo, afetam desproporcionalmente jovens de grupos minoritários, para quem o acesso digital representa inclusão e conexão.

Os estudos existentes são majoritariamente correlacionais e o fato de ainda não haver prova de causalidade direta provoca o debate atual. Mas a consistência dos resultados em diferentes países e metodologias é suficientemente forte para justificar precaução.

O ângulo da privacidade de dados

A maioria dos pais pensa em privacidade como "não compartilhar senha" ou "não falar com estranhos." Mas quando uma criança tem smartphone, a privacidade já foi comprometida muito antes disso, e sem que ninguém perceba. São três camadas que os pais precisam entender:

• Dados pessoais e consentimento

• Profiling e manipulação comercial

• Dark patterns e design aditivo

Dados pessoais: como empresas coletam consentimento

Quando uma criança cria uma conta (em qualquer plataforma) ela fornece dados pessoais e aceita termos de uso que ela não tem capacidade legal nem cognitiva de compreender. O consentimento que a criança "deu" ao criar a conta não é consentimento legal. Os pais são os responsáveis legais por essa decisão, mas a maioria nunca foi informada disso.

Pela lei europeia GDPR (General Data Protection Regulation), crianças menores de 16 anos não podem legalmente consentir com o processamento dos seus dados pessoais sem autorização parental explícita. Alguns países europeus reduziram para 13 anos; da mesma forma, segue os EUA com o Children’s Online Privacy Protection Act (COPPA). A LGPD brasileira estabelece o mesmo padrão europeu.

O Age Appropriate Design Code europeu e o Digital Services Act (DSA) estão tentando corrigir essa lacuna, exigindo que plataformas apliquem consentimento adequado à idade, um padrão legal que vai além de uma caixa de seleção e exige que os serviços sejam projetados com os direitos das crianças como ponto de partida, não como ajuste posterior.

Profiling: perfil comportamental

Assim que uma conta é criada, a coleta de dados começa. Cada clique, cada pausa, cada conteúdo assistido até o final alimenta o perfil do usuário. Esse processo chama-se profiling: a construção de um perfil detalhado de preferências, interesses, estados emocionais e padrões de comportamento. Empresas criam este perfil para que, através de decisões automatizadas, seja possível escolher o que o usuário verá em seguida dentro daquela plataforma. No que tange às redes sociais e jogos online, o objetivo é reter a atenção ao máximo dentro da plataforma.

O impacto direto:

• Algoritmos identificam estado emocional e podem aumentar a exposição a certos conteúdo

• Publicidade direcionada a menores com base em comportamento, prática proibida pelo GDPR mas praticada

• Recomendação de conteúdo progressivamente mais extremo para maximizar tempo de tela

O GDPR proíbe explicitamente o profiling e o automated decision-making de crianças para fins comerciais, conforme o Artigo 22. O DSA ampliou essa proibição em 2024, banindo publicidade direcionada a menores com base em dados comportamentais. Ambas as leis existem porque o dano é documentado, mas a aplicação depende de pais que conhecem e exercem os seus direitos.

Dark patterns e design viciante

Plataformas são projetadas para maximizar engajamento. Para crianças, isso é especialmente problemático porque o cérebro em desenvolvimento é mais suscetível a mecanismos de recompensa variável, o mesmo princípio das slot machines, como caça-níqueis.

Dark patterns é o termo técnico e jurídico para escolhas de design que manipulam o comportamento do utilizador contra os seus próprios interesses. Exemplos concretos para pais entenderem:

• Notificações que interrompem propositalmente para criar hábito

• Scroll infinito que elimina pontos naturais de parada

• Likes e reações que criam dependência de validação social

• Autoplay que remove a decisão ativa de continuar assistindo

Estes são recursos de engenharia deliberada com efeitos documentados na atenção, no sono e na regulação emocional. O Estatuto Digital da Criança e do Adolescente brasileiro, em vigor desde março de 2026, proíbe explicitamente scroll infinito e autoplay para menores de 16 anos. O DSA exige que plataformas realizem avaliações de risco específicas sobre o impacto do design viciante em menores.

Por que isso importa além do dispositivo

A criança é perfilada sem que os pais saibam. O algoritmo sabe mais sobre os interesses, medos e vulnerabilidades do filho do que muitos pais. Esse perfil é usado comercialmente e pode ser explorado por terceiros.

Conteúdo inadequado chega por recomendação, não por busca. A criança não precisa procurar pornografia ou conteúdo violento. O algoritmo entrega. Pais que não entendem profiling acreditam que basta “não deixar o filho buscar.”

Publicidade direcionada a menores funciona de forma invisível. Crianças são alvo de estratégias de marketing sofisticadas que exploram suas inseguranças. Pais que não sabem disso não conseguem nomear o que estão vendo no comportamento de consumo dos filhos.

Predadores usam dados públicos para personalizar abordagem. O grooming começa com análise de comportamento online. Dados que a criança “compartilha” ao usar plataformas são acessíveis a quem sabe onde procurar.

A criança não tem direitos que não conhece. Direito de apagar dados, direito de não ser perfilada, direito de não receber publicidade direcionada, existem em lei mas precisam ser exercidos. Pais que não sabem não podem exercer esses direitos pelos filhos.

A ameaça que ninguém quer nomear

Ao falarmos sobre smartphones, não se trata apenas de uma questão de tempo de tela. Existe uma ameaça real à segurança e à proteção infantil porque o mundo digital tornou-se uma porta de entrada para ambientes onde adultos procuram crianças ativamente, bem como tornou-se um instrumento de geração de vícios através de mecanismos de dopamina para os quais nem o cérebro adulto está preparado — quanto mais o de crianças e adolescentes em desenvolvimento.

Pornografia

Segundo pesquisa da Common Sense Media com mais de 1.300 adolescentes, 54% viram pornografia online pela primeira vez antes dos 13 anos. A média de idade é 12 anos.

• 58% relataram exposição acidental

• 44% acederam a conteúdo pornográfico num dispositivo fornecido pela escola

• 1/3 viu pornografia em aplicativos de redes sociais

• 94% acederam num dispositivo eletrónico, 89% estavam em casa

O artigo do Institute for Family Studies explica em detalhes as consequências gravíssimas da exposição precoce à pornografia. Além disso, conclui que o cérebro das crianças não está preparado para processar as experiências adultas retratadas na pornografia e que esta está destruindo a interação social e o anseio por conexão pessoal.

Grooming, sextortion e exploração

Em 2024, o NCMEC — National Center for Missing and Exploited Children — recebeu quase 100 relatórios de sextortion financeira por dia. Desde 2021, pelo menos 36 adolescentes tiraram as próprias vidas como resultado direto de sextortion. Com o avanço da IA generativa, criminosos criam deepfakes sexualizadas a partir de fotos públicas de crianças para extorsão e assédio.

No primeiro semestre de 2025, relatórios de aliciamento online saltaram de 292.951 para 518.720 — aumento de 77%. Relatórios envolvendo IA generativa na exploração infantil passaram de 6.835 para 440.419 no mesmo período.

Em ambientes de gaming, uma situação de alto risco de grooming demora em média 45 minutos para se desenvolver, mas pode acontecer em 19 segundos.

Mais de 70% das imagens de abuso sexual infantil identificadas nos últimos anos foram autogeradas. Isso não reflete consentimento. Reflete a eficácia das táticas de grooming em fazer a criança acreditar que não tem outra opção.

Framework CAMPP: um guia para os pais

Com base nos dados apresentados neste artigo, pensei muito sobre quais pilares precisamos levar em consideração na hora de tomar a decisão sobre smartphone para os filhos. Portanto, desenvolvi o Framework CAMPP no qual possui uma série de perguntas que você, como pai, deve se fazer para orientar essa decisão:

C - Circunstância: Qual é a razão real por trás de dar um smartphone hoje para o seu filho? Segurança, autonomia, contato ou pressão social? Seja brutalmente honesto consigo mesmo.

A - Ambiente: A relação com o seu filho é forte o suficiente para que ele venha até você quando algo der errado online? Existem regras claras, combinados estabelecidos, abertura para conselhos dentro de casa e controle parental ativo?

M - Maturidade: O seu filho consegue dizer não a amigos, a estranhos, a conteúdo inadequado? Ele entende o conceito de privacidade e consequências digitais?

P - Privacidade de dados: Você sabe quais dados o dispositivo coleta? Conhece ferramentas de controle parental e monitoramento? Está preparado para exercer os direitos legais dos seus filhos? Sabe explicar os sinais de alerta no ambiente digital antes de entregar um smartphone?

P - Presença: Você acompanha ativamente o que o seu filho faz online? Conhece as plataformas, as gírias, os trends do momento? Se interessa pelos gostos dele(a)? Consegue introduzir e manter bons hábitos de uso de smartphone ou também se encontra em vício de telas? O smartphone será um facilitador na rotina ou irá substituir a presença dos pais?

O mundo digital chegou para ficar. Mas nenhuma tecnologia substitui o que acontece quando um pai está presente, atento e informado. Presença é proteção. Sempre foi. Agora também precisa ser online.